SpringSecurity实现动态url拦截(基于rbac模型)

下面是详细讲解 Spring Security 实现动态 URL 拦截（基于 RBAC 模型）的完整攻略：

1. 什么是 Spring Security

Spring Security 是一个基于 Spring 框架的安全框架，提供了完善的身份认证和授权功能。

2. 什么是 RBAC 模型

RBAC（Role-Based Access Control）模型是一种基于角色的访问控制模型，它将角色与权限关联起来，通过给用户分配角色来确定用户的权限范围。

3. 动态 URL 拦截基本原理

动态 URL 拦截的基本原理是：在业务系统中，对每个 URL 资源进行动态的权限控制，根据用户、角色和权限组等因素进行判断，是否允许访问该 URL 资源。Spring Security 是通过配置相关的配置类和过滤器链来实现动态 URL 拦截的。

4. 实现动态 URL 拦截的步骤

4.1 创建权限实体

首先，需要在系统中创建权限实体，包括权限 ID、权限名称、资源地址等属性，同时需要创建角色实体，包括角色 ID、角色名称、拥有的权限等属性。

4.2 使用数据库存储权限配置信息

在系统中，需要使用数据库来存储权限配置信息，以便动态生成过滤器链。

4.3 实现 UserDetails 接口

需要实现 Spring Security 中的 UserDetails 接口，重写其中的方法，以返回用户的角色、权限信息等。

4.4 使用自定义 FilterInvocationSecurityMetadataSource 进行资源权限控制

在系统中，需要定义自己的 FilterInvocationSecurityMetadataSource 实现，重写其中的方法，根据数据库中存储的权限信息，动态生成权限参数。

4.5 配置过滤器

在系统的配置类中，需要配置 Spring Security 的过滤器链，包括权限控制的过滤器、登录认证的过滤器、退出登录的过滤器等。

4.6 在 JSP 页面中进行权限控制

在 JSP 页面中，使用 Spring Security 提供的标签库，进行权限控制。

5. 示例

下面是一个动态 URL 拦截的示例：

5.1 创建权限实体

@Entity
public class Permission {
    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;

    private String name;

    private String url;

    // Getters and setters
}

5.2 使用数据库存储权限配置信息

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private DataSource dataSource;

    // ...

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .mvcMatchers("/admin/**").hasRole("ADMIN")
            .mvcMatchers("/user/**").hasRole("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin().defaultSuccessUrl("/")
            .and()
            .logout().logoutSuccessUrl("/");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("select username,password,true from user where username=?")
            .authoritiesByUsernameQuery("select u.username,p.name from user u join user_permission up on u.id=up.user_id join permission p on up.permission_id=p.id where u.username=?");
    }
}

5.3 实现 UserDetails 接口

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(s);
        if (user == null) {
            throw new UsernameNotFoundException(s);
        }

        List<GrantedAuthority> authorities = new ArrayList<>();
        for (Role role : user.getRoles()) {
            for (Permission permission : role.getPermissions()) {
                authorities.add(new SimpleGrantedAuthority(permission.getName()));
            }
        }

        return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            authorities
        );
    }
}

5.4 使用自定义 FilterInvocationSecurityMetadataSource 进行资源权限控制

@Service
public class CustomFilterInvocationSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
    @Autowired
    private PermissionRepository permissionRepository;

    private AntPathMatcher antPathMatcher = new AntPathMatcher();

    @Override
    public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
        HttpServletRequest request = ((FilterInvocation) object).getRequest();
        List<Permission> permissions = permissionRepository.findAll();
        for (Permission permission : permissions) {
            if (antPathMatcher.match(permission.getUrl(), request.getRequestURI())) {
                List<ConfigAttribute> attributes = new ArrayList<>();
                attributes.add(new SecurityConfig(permission.getName()));
                return attributes;
            }
        }

        return null;
    }

    @Override
    public Collection<ConfigAttribute> getAllConfigAttributes() {
        return null;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

5.5 配置过滤器

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomFilterInvocationSecurityMetadataSource customFilterInvocationSecurityMetadataSource;

    @Autowired
    private UserDetailsServiceImpl userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin().defaultSuccessUrl("/")
            .and()
            .logout().logoutSuccessUrl("/");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.securityInterceptor(new CustomFilterSecurityInterceptor(customFilterInvocationSecurityMetadataSource));
    }
}

5.6 在 JSP 页面中进行权限控制

<%@ taglib prefix="security" uri="http://www.springframework.org/security/tags" %>
<html>
  <head></head>
  <body>
    <security:authorize access="hasRole('ADMIN')">
      <h1>Welcome admin!</h1>
    </security:authorize>
    <security:authorize access="hasRole('USER')">
      <h1>Welcome user!</h1>
    </security:authorize>
  </body>
</html>

完成以上操作后，就可以在业务系统中实现动态 URL 拦截，根据用户的角色和权限控制访问资源的权限。